La cible est prestigieuse. Un piratage visant le ministère de l’Intérieur fait forcément du bruit. Mais, derrière le sensationnel, il reste surtout des incertitudes et du flou, comme souvent dans le monde du hack. Cette attaque a pourtant mis en lumière une réalité embarrassante, que Blast révèle aujourd’hui : malgré les alertes de la CNIL et une évidence technique en matière de cybersécurité, le ministère a conservé pendant huit ans un mode d’accès fragile à des bases ultrasensible. Une faille connue. Tolérée. Jusqu’au jour où quelqu’un s’y engouffre.
Mercredi 17 décembre, des messages apparaissent sur BreachForums, un forum bien connu des pirates informatiques. Les auteurs affirment avoir extrait « 16 millions de fiches » des bases du ministère de l’Intérieur, comme le TAJ (le traitement des antécédents judiciaires, qui recense suspects, mis en cause, victimes et témoins), le fichier national automatisé des empreintes génétiques (FNAEG), ou celui des personnes recherchées (FPR).
Seize millions : un chiffre qui inquiète et ranime un vieux cauchemar français, celui de fichiers policiers qui échappent à tout contrôle. Car ces bases ne contiennent pas seulement des délinquants, mais aussi des personnes innocentées, des témoins protégés, des victimes et parfois des mineurs.
Qui est derrière le piratage ?
Rapidement, les soupçons se portent sur le groupe ShinyHunters, un collectif de pirates informatiques déjà impliqué dans plusieurs fuites massives de données privées. Sauf que ShinyHunters dément tout implication. Le 17 décembre, le parquet de Paris annonce l’arrestation d’un jeune homme de 22 ans, déjà condamné pour piratage. Il est mis en examen pour « atteinte à un système de traitement automatisé de données mis en œuvre par l’État en bande organisée ».
Combien de fiches ont réellement été piratées ? Dix ? Cent ? Ou seize millions, comme le prétendent les pirates ? Le ministre de l’Intérieur, Laurent Nunez, réfute ce chiffre : « Il n’y a pas eu extraction de millions de données. À ma connaissance, c’est faux. » Selon lui, les pirates n’auraient consulté que « quelques dizaines de fiches ». Il nuance toutefois : « Je reste très prudent sur le niveau des compromissions ».
Cette prudence est justifiée : tant que les données piratées ne sont ni publiées ni revendues, personne ne peut vraiment évaluer l’ampleur réelle de l’attaque. À ce stade, les pirates ont diffusé seulement trois captures d’écran, dont la page d’accueil de CHEOPS (Circulation hiérarchisée des enregistrements opérationnels de la police sécurisés), le portail interne donnant accès aux grands fichiers policiers.
Une intrusion à l’ancienne (...)
Les pirates auraient compromis un nombre indéterminé de boites mails professionnelles de policiers, y trouvant des identifiants et mots de passe en clair, simplement échangés par email entre collègues. Une pratique dangereuse mais courante. Avec ces accès, ils ont pu se connecter à CHEOPS et naviguer dans les fichiers sensibles.
Une faille connue depuis longtemps (...)
En 2017, un rapport parlementaire sur les fichiers mis à disposition des forces de sécurité avait déjà signalé cette vulnérabilité. Il rappelait que l’accès au portail CHEOPS « se fait soit à partir d’une carte professionnelle à puce, soit par identifiant et mot de passe », et recommandait explicitement de supprimer cette dernière option : « Comme le recommande la CNIL dans ses réponses écrites aux rapporteurs, il conviendrait de supprimer définitivement l’utilisation des identifiants et mots de passe, et de généraliser à l’ensemble des fichiers l’authentification par la carte professionnelle [la carte à puce sécurisée - NDLR] qui offre plus de garanties en matière de sécurité et de confidentialité. »
Huit ans avant le piratage, CNIL et Parlement avaient donc clairement conseillé au ministère de sécuriser le portail. Pourquoi rien n’a été fait ? Interrogé, le ministère de l’Intérieur invoque deux raisons : « Tous les agents n’ont pas de carte à puce », et « certains ordinateurs ne sont pas équipés de lecteurs nécessaires ». Possible, mais un policier contacté par Blast nuance aussitôt : supprimer l’accès par mot de passe aurait pu se faire progressivement sans interrompre le service. La preuve : après le piratage, le ministère a retiré l’option mot de passe et la police continue de travailler normalement.
Un policier de la capitale avance une raison plus pragmatique : le confort au travail. « Imaginez le nombre de requêtes par jour que font les collègues. Ils n’arrêtent jamais. S’il fallait, à chaque fois, passer par une double authentification sécurisée, ce serait une galère », explique-t-il. En clair : on privilégie la rapidité et la facilité d’utilisation au détriment de la sécurité des données. Résultat : huit ans d’une vulnérabilité connue, ignorée ou minimisée, qui a permis aux pirates de s’introduire dans le cœur des fichiers policiers. La leçon est simple : quand la sécurité des données est jugée trop contraignante, ce sont les citoyens et leurs informations personnelles qui en payent le prix. (...)